Accord de traitement des données

Responsable du traitement : le Client du service Kontevia, une entreprise ou un travailleur indépendant qui traite des données à caractère personnel contenues dans ses documents comptables et d'autres données soumises au Service.

Sous-traitant : Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, République tchèque, numéro d'entreprise 22103741, immatriculée au registre du commerce tenu par le tribunal municipal de Prague, dossier n° C 410771. Contact pour la protection des données : hello@kontevia.com.

1.1. Le présent Accord régit les droits et obligations des parties lorsque le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement dans le cadre de la fourniture du service Kontevia (le « Service »).

1.2. Le présent Accord fait partie intégrante des Conditions générales et prend effet lors de l'inscription du Responsable du traitement au Service. Il s'applique tant que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement.

2.1. Le Sous-traitant traite les données à caractère personnel uniquement aux fins de la fourniture du Service, à savoir :

• la réception et la numérisation des documents comptables soumis par chat, e-mail ou téléversement ;
• l'extraction de données à partir des documents à l'aide de la reconnaissance optique de caractères et de modèles d'extraction automatisés ;
• la catégorisation, la détection des doublons et les propositions de traitement de la TVA ;
• l'émission de factures et d'autres documents sur instruction du Responsable du traitement ;
• l'import des transactions bancaires connectées par le Responsable du traitement et leur rapprochement avec les documents ;
• la préparation de synthèses, de rapports et d'exports vers le système comptable ou le conseiller du Responsable du traitement ;
• le stockage des documents et des données au sein du Service pendant la durée du contrat et la période d'export.

2.2. Le Sous-traitant traite les données à caractère personnel uniquement sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers, sauf si le droit de l'Union ou d'un État membre l'y oblige ; dans ce cas, le Sous-traitant en informe le Responsable du traitement avant le traitement, sauf si la loi l'interdit.

3.1. Personnes concernées : les partenaires commerciaux du Responsable du traitement (fournisseurs, clients, personnes de contact), les employés et prestataires du Responsable du traitement lorsque des documents de paie ou de notes de frais sont traités, ainsi que les propres utilisateurs du Service du Responsable du traitement.

3.2. Catégories de données à caractère personnel : données d'identification (nom, société, numéros d'identification d'entreprise et de TVA) ; données de contact (adresse, e-mail, téléphone) ; données financières (montants facturés, numéros de comptes bancaires, références de paiement) ; données relatives à l'emploi lorsque des documents de paie sont soumis (intitulé de poste, salaire, identifiants d'assurance) ; données d'utilisation des utilisateurs du Responsable du traitement.

3.3. Le Sous-traitant ne requiert pas de catégories particulières de données au sens de l'article 9 du RGPD. Le Responsable du traitement s'engage à ne pas soumettre de telles données via le Service, sauf si elles figurent dans un document qu'il est légalement tenu de conserver, auquel cas le Responsable du traitement est responsable de la base juridique applicable.

Le Sous-traitant s'engage à :

• ne traiter les données à caractère personnel que sur instruction documentée du Responsable du traitement et uniquement dans la mesure nécessaire à la fourniture du Service ;
• veiller à ce que les personnes autorisées à traiter les données à caractère personnel se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles requises par l'article 32 du RGPD, en particulier celles énumérées à l'annexe du présent Accord ;
• ne pas recourir à un autre sous-traitant sans l'autorisation écrite générale préalable du Responsable du traitement, que celui-ci accorde conformément à l'article 6 du présent Accord ;
• compte tenu de la nature du traitement, aider le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées exerçant leurs droits ;
• aider le Responsable du traitement à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact relative à la protection des données, consultation préalable), compte tenu de la nature du traitement et des informations dont dispose le Sous-traitant ;
• au choix du Responsable du traitement, supprimer ou restituer toutes les données à caractère personnel après la fin de la fourniture du Service et supprimer les copies existantes, sauf si le droit de l'Union ou d'un État membre exige leur conservation ;
• mettre à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permettre la réalisation d'audits, y compris des inspections, menés par le Responsable du traitement ou un auditeur mandaté par celui-ci, et y contribuer ;
• informer immédiatement le Responsable du traitement si, à son avis, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou d'un État membre relatives à la protection des données.

5.1. Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel sans délai excessif et au plus tard 48 heures après en avoir eu connaissance.

5.2. La notification contient au minimum : une description de la nature de la violation, y compris, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; le nom et les coordonnées de la personne responsable ; une description des conséquences probables ; et une description des mesures prises ou proposées pour remédier à la violation et en atténuer les effets.

5.3. Le Sous-traitant coopère avec le Responsable du traitement pour l'aider à remplir ses obligations de notification envers l'autorité de contrôle compétente et les personnes concernées.

6.1. Le Responsable du traitement accorde une autorisation générale permettant au Sous-traitant de faire appel à des sous-traitants ultérieurs pour le traitement des données à caractère personnel.

6.2. La liste actuelle des sous-traitants ultérieurs, avec la finalité et la localisation de chacun, est publiée sur la page Sous-traitants du site web du Sous-traitant et fait partie intégrante du présent Accord.

6.3. Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement envisagé de sous-traitants au moins 14 jours à l'avance, par e-mail à l'adresse de contact du Responsable du traitement ou par notification dans le Service, donnant au Responsable du traitement la possibilité de s'y opposer.

6.4. Si le Responsable du traitement formule une objection justifiée dans les 14 jours suivant la notification, le Sous-traitant renonce au changement envisagé ou propose au Responsable du traitement la possibilité de résilier le contrat sans pénalité, avec remboursement des frais prépayés pour la période non utilisée.

6.5. Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues dans le présent Accord, notamment des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées. Si un sous-traitant ultérieur ne remplit pas ses obligations, le Sous-traitant demeure pleinement responsable envers le Responsable du traitement de l'exécution des obligations de ce sous-traitant.

7.1. Les données à caractère personnel sont stockées sur des serveurs situés dans l'Union européenne. Le Sous-traitant ne transfère pas de données à caractère personnel en dehors de l'Espace économique européen, sauf vers les sous-traitants ultérieurs figurant sur la page Sous-traitants et uniquement avec des garanties appropriées conformément au chapitre V du RGPD.

7.2. Ces transferts reposent sur une décision d'adéquation de la Commission européenne (y compris le cadre de protection des données UE-États-Unis pour les destinataires certifiés), les clauses contractuelles types adoptées par la Commission en vertu de l'article 46, paragraphe 2, point c), du RGPD, ou d'autres garanties appropriées, complétées par des mesures supplémentaires lorsqu'une analyse d'impact du transfert l'exige.

8.1. Le Sous-traitant fournit au Responsable du traitement une assistance raisonnable pour traiter les demandes des personnes concernées exerçant leurs droits au titre des articles 15 à 22 du RGPD (accès, rectification, effacement, limitation, portabilité, opposition). Le Service comprend des fonctions de recherche, d'export et de suppression permettant au Responsable du traitement de traiter la plupart des demandes directement.

8.2. Si une personne concernée contacte directement le Sous-traitant, celui-ci la renvoie sans délai excessif vers le Responsable du traitement et en informe ce dernier, sauf si la demande concerne des données pour lesquelles le Sous-traitant est lui-même responsable du traitement.

9.1. Le Sous-traitant permet au Responsable du traitement ou à un auditeur mandaté par celui-ci de réaliser des audits et des inspections afin de vérifier le respect du présent Accord et du RGPD.

9.2. Les audits sont réalisés aux frais du Responsable du traitement, moyennant un préavis raisonnable d'au moins 14 jours ouvrés, pendant les heures ouvrables et d'une manière qui ne perturbe pas les activités du Sous-traitant ni ne compromette la sécurité des données d'autres clients. L'auditeur doit être tenu à la confidentialité.

9.3. Au lieu d'un audit sur site, le Sous-traitant peut fournir des certifications à jour, des rapports d'auditeurs indépendants ou d'autres documents démontrant le respect des mesures de sécurité, lorsque ceux-ci suffisent à répondre aux questions du Responsable du traitement.

10.1. Le présent Accord est en vigueur pendant toute la durée de la relation contractuelle entre le Responsable du traitement et le Sous-traitant, c'est-à-dire tant que le Responsable du traitement utilise le Service.

10.2. Après la fin de la relation contractuelle, le Sous-traitant : permet au Responsable du traitement d'exporter ses données pendant 90 jours ; après cette période de 90 jours, supprime de manière irréversible toutes les données à caractère personnel du Responsable du traitement ; supprime les copies de sauvegarde au plus tard 45 jours après la suppression des données principales ; et confirme la suppression à la demande du Responsable du traitement. Sont exclues les données que le Sous-traitant doit conserver en vertu du droit de l'Union ou d'un État membre (notamment les données de facturation).

10.3. Les obligations du présent Accord, notamment en matière de confidentialité et de sécurité, subsistent après la fin de la relation contractuelle tant que le Sous-traitant détient des données à caractère personnel du Responsable du traitement.

11.1. Le Sous-traitant est responsable des dommages causés par un traitement effectué en violation du présent Accord ou du RGPD, conformément à l'article 82 du RGPD, notamment lorsqu'il n'a pas respecté les obligations du RGPD spécifiquement applicables aux sous-traitants ou a agi en dehors des instructions licites du Responsable du traitement ou contrairement à celles-ci.

11.2. Les limitations de responsabilité prévues dans les Conditions générales s'appliquent au présent Accord dans la mesure permise par la loi ; elles ne limitent pas les droits des personnes concernées.

12.1. Le présent accord est régi par le droit de la République tchèque et par le droit directement applicable de l'Union européenne, en particulier le RGPD.

12.2. En cas de conflit entre le présent accord et les conditions générales, le présent accord prévaut en matière de protection des données personnelles.

12.3. Toute modification du présent accord doit être effectuée par écrit, ce qui inclut une version mise à jour publiée sur le site internet et notifiée au responsable du traitement conformément aux conditions générales.

12.4. Les litiges découlant du présent accord relèvent de la compétence des tribunaux de la République tchèque, déterminée selon le siège du sous-traitant, sans préjudice des droits des personnes concernées et des autorités de contrôle.

Chiffrement

• Chiffrement AES-256 des données au repos, y compris les sauvegardes.
• TLS 1.2 ou version supérieure pour toutes les données en transit, y compris les connexions vers les sous-traitants ultérieurs.

Contrôle des accès

• Accès selon le principe du moindre privilège ; chaque employé et chaque système ne dispose que des autorisations nécessaires à son rôle.
• Authentification multifacteur pour les accès administratifs et à l'infrastructure.
• Séparation des espaces de travail des clients au niveau de l'application et de la base de données.
• Revue régulière et révocation rapide des droits d'accès.

Disponibilité et résilience

• Sauvegardes automatiques régulières avec procédures de restauration testées.
• Infrastructure d'hébergement redondante au sein de l'Union européenne.
• Surveillance de la disponibilité et des performances avec alertes.

Intégrité et journalisation

• Journalisation des accès aux données personnelles et des actions administratives.
• Piste d'audit pour les documents : qui les a soumis, modifiés, approuvés ou exportés, et quand.
• Détection des anomalies et des incidents de sécurité.

Mesures organisationnelles

• Obligations de confidentialité pour l'ensemble du personnel et des prestataires ayant accès aux données personnelles.
• Formation du personnel à la protection des données et à la sécurité.
• Procédures internes documentées pour le traitement des données personnelles et la gestion des demandes des personnes concernées.
• Plan de réponse aux incidents avec rôles définis et délais de notification.
• Vérification en matière de protection des données pour tout nouveau sous-traitant avant son engagement.